p PatchFirst

CVE-2026-15920

CVE-2026-15920 · Potential cross-site scripting via URLField values in the admin

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

An issue was discovered in Django 5.2 before 5.2.17 and 6.0 before 6.0.8. `django.contrib.admin.utils.display_for_field()` renders `URLField` values as clickable links in the admin without validating the URL. A value stored with an unsafe scheme is displayed as a link on changelist and read-only admin pages, which allows cross-site scripting against staff users who click the link. Exploitation requires the unsafe value to already be stored in the database. `URLField` validation through a `ModelForm` or the admin rejects unsafe schemes, so this affects applications that persist `URLField` data without running model validation, for example through direct queryset writes, deserialization, or bulk import of untrusted input. Django would like to thank Egor Saltykov for reporting this issue.

CVSS 5.1 · Средний · EPSS 0,4% · Есть исправление

Опубликовано
Обновлено

Стек: system

Затронутые продукты и версии

  • django

    Версии
    • ≥ 6.0, < 6.0.8: Затронуто (python)
    • 6.0.8: Не затронуто (python)
    • ≥ 5.2, < 5.2.17: Затронуто (python)
    • 5.2.17: Не затронуто (python)

    Обновитесь до 5.2.17; Обновитесь до 6.0.8

  • python-django Debian:12

    Версии
    • 3:3.2.19-1
    • 3:3.2.19-1+deb12u1
    • 3:3.2.19-1+deb12u1~bpo11+1
    • 3:3.2.19-1+deb12u2
    • 3:3.2.20-1
    • 3:3.2.20-1.1
    • 3:3.2.21-1
    • 3:3.2.25-0+deb12u1
    • 3:3.2.25-0+deb12u2
    • 3:3.2.25-0+deb12u3
    Затронутые диапазоны версий
    • ECOSYSTEM: < 3:3.2.25-0+deb12u4

    Обновитесь до 3:3.2.25-0+deb12u4

  • python-django Debian:13

    Версии
    • 3:4.2.23-1
    • 3:4.2.24-1
    • 3:4.2.25-1
    • 3:4.2.25-2
    • 3:4.2.26-1
    • 3:4.2.27-0+deb13u1
    • 3:4.2.27-1
    • 3:4.2.27-2
    • 3:4.2.28-0+deb13u1
    • 3:4.2.28-0+deb13u2
    • 3:4.2.28-1
    • 3:4.2.29-1
    • 3:4.2.30-1
    • 3:5.0-1
    • 3:5.0.1-1
    • 3:5.0.2-1
    • 3:5.0.3-1
    • 3:5.0.4-1
    • 3:5.0.6-1
    • 3:5.0~alpha1-1
    • 3:5.0~rc1-1
    • 3:5.1-1
    • 3:5.1.1-1
    • 3:5.1.2-1
    • 3:5.1.3-1
    • 3:5.1.4-1
    • 3:5.1.5-1
    • 3:5.1~alpha1-1
    • 3:5.1~beta1-1
    • 3:5.1~rc1-1
    • 3:5.2-1
    • 3:5.2.1-1
    • 3:5.2.13-1
    • 3:5.2.14-1
    • 3:5.2.14-2
    • 3:5.2.15-1
    • 3:5.2.15-2
    • 3:5.2.15-2~bpo13+1
    • 3:5.2.16-1
    • 3:5.2.16-1~bpo13+1
    • 3:5.2.17-1
    • 3:5.2.17-2
    • 3:5.2.17-2~bpo13+1
    • 3:5.2.18-1
    • 3:5.2.2-1
    • 3:5.2.3-1
    • 3:5.2.4-1
    • 3:5.2.5-1
    • 3:5.2.6-1
    • 3:5.2~alpha1-1
    • 3:5.2~beta1-1
    • 3:5.2~rc1-1
    • 3:6.0-1
    • 3:6.0.1-1
    • 3:6.0.2-1
    • 3:6.0.3-1
    • 3:6.0.4-1
    • 3:6.0.5-1
    • 3:6.0.6-1
    • 3:6.0~alpha1-1
    • 3:6.0~beta1-1
    • 3:6.0~rc1-1
    • 3:6.1-1
    • 3:6.1.1-1
    • 3:6.1.2-1
    • 3:6.1~beta1-1
    • 3:6.1~rc1-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • python-django Debian:14

    Версии
    • 3:4.2.23-1
    • 3:4.2.24-1
    • 3:4.2.25-1
    • 3:4.2.25-2
    • 3:4.2.26-1
    • 3:4.2.27-1
    • 3:4.2.27-2
    • 3:4.2.28-1
    • 3:4.2.29-1
    • 3:4.2.30-1
    • 3:5.0-1
    • 3:5.0.1-1
    • 3:5.0.2-1
    • 3:5.0.3-1
    • 3:5.0.4-1
    • 3:5.0.6-1
    • 3:5.0~alpha1-1
    • 3:5.0~rc1-1
    • 3:5.1-1
    • 3:5.1.1-1
    • 3:5.1.2-1
    • 3:5.1.3-1
    • 3:5.1.4-1
    • 3:5.1.5-1
    • 3:5.1~alpha1-1
    • 3:5.1~beta1-1
    • 3:5.1~rc1-1
    • 3:5.2-1
    • 3:5.2.1-1
    • 3:5.2.13-1
    • 3:5.2.14-1
    • 3:5.2.14-2
    • 3:5.2.15-1
    • 3:5.2.15-2
    • 3:5.2.15-2~bpo13+1
    • 3:5.2.16-1
    • 3:5.2.16-1~bpo13+1
    • 3:5.2.2-1
    • 3:5.2.3-1
    • 3:5.2.4-1
    • 3:5.2.5-1
    • 3:5.2.6-1
    • 3:5.2~alpha1-1
    • 3:5.2~beta1-1
    • 3:5.2~rc1-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 3:5.2.17-1

    Обновитесь до 3:5.2.17-1

  • python-django Ubuntu:Pro:14.04:LTS

    Версии
    • 1.5.4-1ubuntu1
    • 1.6-1
    • 1.6.1-1
    • 1.6.1-2
    • 1.6.1-2ubuntu0.1
    • 1.6.1-2ubuntu0.2
    • 1.6.1-2ubuntu0.3
    • 1.6.1-2ubuntu0.4
    • 1.6.1-2ubuntu0.5
    • 1.6.1-2ubuntu0.6
    • 1.6.1-2ubuntu0.8
    • 1.6.1-2ubuntu0.9
    • 1.6.1-2ubuntu0.10
    • 1.6.1-2ubuntu0.11
    • 1.6.1-2ubuntu0.12
    • 1.6.1-2ubuntu0.13
    • 1.6.1-2ubuntu0.14
    • 1.6.1-2ubuntu0.15
    • 1.6.1-2ubuntu0.16
    • 1.6.11-0ubuntu1
    • 1.6.11-0ubuntu1.1
    • 1.6.11-0ubuntu1.2
    • 1.6.11-0ubuntu1.3
    • 1.6.11-0ubuntu1.3+esm1
    • 1.6.11-0ubuntu1.3+esm2
    • 1.6.11-0ubuntu1.3+esm3
    • 1.6.11-0ubuntu1.3+esm4
    • 1.6.11-0ubuntu1.3+esm5
    • 1.6.11-0ubuntu1.3+esm6
    • 1.6.11-0ubuntu1.3+esm7
    • 1.6.11-0ubuntu1.3+esm8
    • 1.6.11-0ubuntu1.3+esm9
    • 1.6.11-0ubuntu1.3+esm10
    • 1.6.11-0ubuntu1.3+esm11
    • 1.6.11-0ubuntu1.3+esm12
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • python-django Ubuntu:Pro:16.04:LTS

    Версии
    • 1.7.9-1ubuntu5
    • 1.8.5-2ubuntu1
    • 1.8.7-1ubuntu1
    • 1.8.7-1ubuntu2
    • 1.8.7-1ubuntu3
    • 1.8.7-1ubuntu4
    • 1.8.7-1ubuntu5
    • 1.8.7-1ubuntu5.1
    • 1.8.7-1ubuntu5.2
    • 1.8.7-1ubuntu5.4
    • 1.8.7-1ubuntu5.5
    • 1.8.7-1ubuntu5.6
    • 1.8.7-1ubuntu5.7
    • 1.8.7-1ubuntu5.8
    • 1.8.7-1ubuntu5.9
    • 1.8.7-1ubuntu5.10
    • 1.8.7-1ubuntu5.11
    • 1.8.7-1ubuntu5.12
    • 1.8.7-1ubuntu5.13
    • 1.8.7-1ubuntu5.14
    • 1.8.7-1ubuntu5.15
    • 1.8.7-1ubuntu5.15+esm1
    • 1.8.7-1ubuntu5.15+esm3
    • 1.8.7-1ubuntu5.15+esm4
    • 1.8.7-1ubuntu5.15+esm5
    • 1.8.7-1ubuntu5.15+esm6
    • 1.8.7-1ubuntu5.15+esm7
    • 1.8.7-1ubuntu5.15+esm8
    • 1.8.7-1ubuntu5.15+esm9
    • 1.8.7-1ubuntu5.15+esm10
    • 1.8.7-1ubuntu5.15+esm11
    • 1.8.7-1ubuntu5.15+esm12
    • 1.8.7-1ubuntu5.15+esm13
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • python-django Ubuntu:Pro:18.04:LTS

    Версии
    • 1:1.11.4-1ubuntu1
    • 1:1.11.6-1ubuntu1
    • 1:1.11.9-1ubuntu1
    • 1:1.11.11-1ubuntu1
    • 1:1.11.11-1ubuntu1.1
    • 1:1.11.11-1ubuntu1.2
    • 1:1.11.11-1ubuntu1.3
    • 1:1.11.11-1ubuntu1.4
    • 1:1.11.11-1ubuntu1.5
    • 1:1.11.11-1ubuntu1.6
    • 1:1.11.11-1ubuntu1.7
    • 1:1.11.11-1ubuntu1.8
    • 1:1.11.11-1ubuntu1.9
    • 1:1.11.11-1ubuntu1.10
    • 1:1.11.11-1ubuntu1.11
    • 1:1.11.11-1ubuntu1.12
    • 1:1.11.11-1ubuntu1.13
    • 1:1.11.11-1ubuntu1.14
    • 1:1.11.11-1ubuntu1.15
    • 1:1.11.11-1ubuntu1.16
    • 1:1.11.11-1ubuntu1.17
    • 1:1.11.11-1ubuntu1.18
    • 1:1.11.11-1ubuntu1.19
    • 1:1.11.11-1ubuntu1.20
    • 1:1.11.11-1ubuntu1.21
    • 1:1.11.11-1ubuntu1.21+esm1
    • 1:1.11.11-1ubuntu1.21+esm2
    • 1:1.11.11-1ubuntu1.21+esm3
    • 1:1.11.11-1ubuntu1.21+esm4
    • 1:1.11.11-1ubuntu1.21+esm5
    • 1:1.11.11-1ubuntu1.21+esm6
    • 1:1.11.11-1ubuntu1.21+esm7
    • 1:1.11.11-1ubuntu1.21+esm8
    • 1:1.11.11-1ubuntu1.21+esm9
    • 1:1.11.11-1ubuntu1.21+esm10
    • 1:1.11.11-1ubuntu1.21+esm11
    • 1:1.11.11-1ubuntu1.21+esm12
    • 1:1.11.11-1ubuntu1.21+esm13
    • 1:1.11.11-1ubuntu1.21+esm14
    • 1:1.11.11-1ubuntu1.21+esm15
    • 1:1.11.11-1ubuntu1.21+esm17
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • python-django Ubuntu:Pro:20.04:LTS

    Версии
    • 1:1.11.22-1ubuntu1
    • 2:2.2.6-1ubuntu1
    • 2:2.2.9-2ubuntu1
    • 2:2.2.10-1
    • 2:2.2.10-1ubuntu1
    • 2:2.2.11-1
    • 2:2.2.12-1
    • 2:2.2.12-1ubuntu0.1
    • 2:2.2.12-1ubuntu0.2
    • 2:2.2.12-1ubuntu0.3
    • 2:2.2.12-1ubuntu0.4
    • 2:2.2.12-1ubuntu0.5
    • 2:2.2.12-1ubuntu0.6
    • 2:2.2.12-1ubuntu0.7
    • 2:2.2.12-1ubuntu0.8
    • 2:2.2.12-1ubuntu0.9
    • 2:2.2.12-1ubuntu0.10
    • 2:2.2.12-1ubuntu0.11
    • 2:2.2.12-1ubuntu0.12
    • 2:2.2.12-1ubuntu0.13
    • 2:2.2.12-1ubuntu0.14
    • 2:2.2.12-1ubuntu0.15
    • 2:2.2.12-1ubuntu0.16
    • 2:2.2.12-1ubuntu0.17
    • 2:2.2.12-1ubuntu0.18
    • 2:2.2.12-1ubuntu0.19
    • 2:2.2.12-1ubuntu0.20
    • 2:2.2.12-1ubuntu0.21
    • 2:2.2.12-1ubuntu0.22
    • 2:2.2.12-1ubuntu0.23
    • 2:2.2.12-1ubuntu0.24
    • 2:2.2.12-1ubuntu0.25
    • 2:2.2.12-1ubuntu0.26
    • 2:2.2.12-1ubuntu0.27
    • 2:2.2.12-1ubuntu0.28
    • 2:2.2.12-1ubuntu0.29
    • 2:2.2.12-1ubuntu0.29+esm1
    • 2:2.2.12-1ubuntu0.29+esm2
    • 2:2.2.12-1ubuntu0.29+esm3
    • 2:2.2.12-1ubuntu0.29+esm4
    • 2:2.2.12-1ubuntu0.29+esm5
    • 2:2.2.12-1ubuntu0.29+esm6
    • 2:2.2.12-1ubuntu0.29+esm7
    • 2:2.2.12-1ubuntu0.29+esm8
    • 2:2.2.12-1ubuntu0.29+esm10
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • python-django Ubuntu:22.04:LTS

    Версии
    • 2:2.2.24-1ubuntu1
    • 2:3.2.12-2
    • 2:3.2.12-2ubuntu1
    • 2:3.2.12-2ubuntu1.1
    • 2:3.2.12-2ubuntu1.2
    • 2:3.2.12-2ubuntu1.3
    • 2:3.2.12-2ubuntu1.4
    • 2:3.2.12-2ubuntu1.5
    • 2:3.2.12-2ubuntu1.6
    • 2:3.2.12-2ubuntu1.7
    • 2:3.2.12-2ubuntu1.8
    • 2:3.2.12-2ubuntu1.9
    • 2:3.2.12-2ubuntu1.10
    • 2:3.2.12-2ubuntu1.11
    • 2:3.2.12-2ubuntu1.12
    • 2:3.2.12-2ubuntu1.13
    • 2:3.2.12-2ubuntu1.14
    • 2:3.2.12-2ubuntu1.15
    • 2:3.2.12-2ubuntu1.16
    • 2:3.2.12-2ubuntu1.17
    • 2:3.2.12-2ubuntu1.18
    • 2:3.2.12-2ubuntu1.19
    • 2:3.2.12-2ubuntu1.20
    • 2:3.2.12-2ubuntu1.21
    • 2:3.2.12-2ubuntu1.22
    • 2:3.2.12-2ubuntu1.23
    • 2:3.2.12-2ubuntu1.24
    • 2:3.2.12-2ubuntu1.25
    • 2:3.2.12-2ubuntu1.26
    • 2:3.2.12-2ubuntu1.27
    • 2:3.2.12-2ubuntu1.29
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • python-django Ubuntu:24.04:LTS

    Версии
    • 3:4.2.4-1ubuntu2
    • 3:4.2.8-1
    • 3:4.2.9-1
    • 3:4.2.11-1
    • 3:4.2.11-1ubuntu1
    • 3:4.2.11-1ubuntu1.1
    • 3:4.2.11-1ubuntu1.2
    • 3:4.2.11-1ubuntu1.3
    • 3:4.2.11-1ubuntu1.4
    • 3:4.2.11-1ubuntu1.5
    • 3:4.2.11-1ubuntu1.6
    • 3:4.2.11-1ubuntu1.7
    • 3:4.2.11-1ubuntu1.8
    • 3:4.2.11-1ubuntu1.9
    • 3:4.2.11-1ubuntu1.10
    • 3:4.2.11-1ubuntu1.11
    • 3:4.2.11-1ubuntu1.12
    • 3:4.2.11-1ubuntu1.13
    • 3:4.2.11-1ubuntu1.14
    • 3:4.2.11-1ubuntu1.15
    • 3:4.2.11-1ubuntu1.16
    • 3:4.2.11-1ubuntu1.18
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • python-django Ubuntu:26.10

    Версии
    • 3:5.2.9-0ubuntu4
    • 3:5.2.16-1
    • 3:5.2.17-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • python-django Ubuntu:26.04:LTS

    Версии
    • 3:5.2.4-1ubuntu2
    • 3:5.2.4-1ubuntu3
    • 3:5.2.9-0ubuntu1
    • 3:5.2.9-0ubuntu2
    • 3:5.2.9-0ubuntu3
    • 3:5.2.9-0ubuntu4
    • 3:5.2.9-0ubuntu4.1
    • 3:5.2.9-0ubuntu4.3
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →